돈經濟

AI 시대, 사이버보안은 방어 비용이 아니다.

AI가 만드는 새로운 공격면과 새로운 정체성(에이전트)을 관리하는 필수 인프라 산업으로 재정의되고 있다. 생성형 AI와 에이전틱 AI가 코드를 쓰고, 취약점을 찾고, 침투 경로를 자동화하는 속도가 빨라질수록, 같은 AI를 탐지·예측·차단에 쓰는 수요도 구조적으로 커진다. 젠슨 황이 사이버보안을 “AI의 다음 핵심 시장”으로 지목한 이유도 여기에 있다. 문제를 만드는 쪽이 AI라면, 그 문제를 푸는 쪽도 AI가 되어야 한다.

시장 전망부터 보면, 전체 정보보안 지출은 이미 대형 성장 궤도에 올라 있다. 가트너는 2026년 전 세계 정보보안 지출을 약 2,400억~2,490억 달러 수준으로 보고, 이후에도 두 자릿수 성장을 이어가 2029~2030년에는 3,200억~3,700억 달러 전후로 확대될 것으로 본다. 그중에서도 AI가 직접 결합된 보안 시장은 더 가파르다. 조사기관마다 범위가 다르지만, 2026년 기준 250억~430억 달러에서 출발해 2030~2031년 500억~1,000억 달러 전후로 커진다는 시나리오가 반복된다. 연평균 성장률은 대체로 15~25%대다. 더 중요한 질적 변화는 ‘선제 보안(preemptive security)’이다. 가트너는 2024년 IT 보안 지출의 5%에 불과했던 선제 보안이 2030년에는 약 절반을 차지할 것으로 본다. 탐지 후 대응하는 모델만으로는 AI가 압축한 공격 속도를 따라잡을 수 없다는 판단이다. 문서화된 소프트웨어 취약점(CVE)이 현재 약 27만 건에서 2030년 100만 건 가까이 늘어날 것이라는 전망이 그 배경이다.

한국 시장도 같은 방향이지만, 정책과 지정학이 더 강하게 개입한다. 국내 사이버보안 시장은 2026년 약 4조 원을 넘어서고, 일부 전망에서는 2030년 18조 원 전후까지 커질 수 있다는 수치가 나온다. 전체 보안(물리+사이버)은 2026년 10조 원을 돌파할 것으로 보는 조사도 있다. 북측발 사이버 위협, 공공·기간시설 규제, 망분리 완화 이후 생성형 AI 도입, 국정원이 추진하는 양자내성암호(PQC) 전환(공공 평가 반영 → 2029년 일부 알고리즘 탑재 의무화)이 수요를 밀어 올린다. 정부는 정보보호 산업을 2030년까지 키우고 AI 보안 유니콘을 육성하겠다는 방향도 제시한 상태다. 즉 한국은 글로벌 AI 보안 플랫폼의 소비 시장인 동시에, 데이터 주권·공공 조달·암호 전환이라는 독자 수요가 있는 시장이다.

투자 전략은 테마 추종보다 구조적 수요, 플랫폼 전환, 밸류에이션 규율의 조합이 맞다.

첫째, 시간을 길게 잡아야 한다. 사이버보안은 AI 붐이 성공해도, 실패하거나 규제·사고 위험이 커져도 수요가 남는 몇 안 되는 업종이다. 공격면이 늘면 방어 예산이 늘고, 인재 부족이 심화되면 자동화(에이전틱 SOC, XDR, SOAR) 수요가 늘기 때문이다. 다만 2026년 9월처럼 AI 리스크 헤드라인이 나오면 주가가 한꺼번에 급등하는 구간이 반복된다. 그런 날의 추격 매수보다, 3~5년 단위로 나눠 담는 방식이 현실적이다.

둘째, 단품 보안보다 플랫폼·아이덴티티·선제 방어에 무게를 두는 편이 낫다. AI 에이전트 하나가 생길 때마다 새로운 계정, 권한, 행위 로그, 데이터 접근 경로가 생긴다. 그래서 엔드포인트·클라우드·네트워크를 한 콘솔에서 보는 플랫폼 업체와, 인간·머신·AI 에이전트 신원을 관리하는 아이덴티티 업체가 구조적으로 유리하다. 제로트러스트·SASE, 데이터 보안(DSPM), 사이버 복원력(백업·랜섬웨어 복구)도 같은 흐름이다.

셋째, 글로벌과 국내를 나눠 담는 것이 한국 투자자에게는 실용적이다. 글로벌 대장주는 기술 표준과 대형 고객을 장악하지만 밸류에이션이 이미 비싸고, 국내 업체는 공공·금융·망분리 완화·PQC 같은 로컬 모멘텀이 있지만 규모와 글로벌 경쟁력이 과제다. 글로벌 노출은 개별 종목과 함께 HACK, CIBR, 또는 국내 상장 TIGER 글로벌 사이버보안 ETF 같은 바스켓으로 분산하는 방법이 있다.

넷째, 리스크를 분명히 봐야 한다. 2026년 들어 크라우드스트라이크·팔로알토 등 대장주가 큰 폭으로 오른 뒤라 기대가 이미 가격에 많이 반영돼 있다. 플랫폼 통합 과정에서 인수합병 실패, AI 기능의 실제 효과 미달, 규제 파편화(미·유럽·중국의 서로 다른 AI·데이터 규칙), 전통 방화벽 업체의 점유율 잠식도 변수다. 국내 중소형주는 테마성 급등락이 심하고, 실적 가시성이 떨어지는 경우가 많다. 따라서 비중은 핵심 플랫폼 40~60%, 국내 정책 수혜 20~30%, 위성 중소형·테마 10~20%처럼 계층을 나누는 편이 안전하다.

가능성 있는 기업은 역할이 다르다.

글로벌에서는 크라우드스트라이크(CRWD)가 AI 보안 테마의 가장 순수한 표현에 가깝다. 클라우드 네이티브 엔드포인트·XDR인 팔콘 플랫폼을 기반으로 SOC 자동화와 에이전트 보안으로 확장하고 있고, 회사 스스로 TAM을 2030년 3,250억 달러 수준까지 키울 수 있다고 본다. 최근 AI 리스크 논쟁 국면에서 주가가 가장 민감하게 반응한 종목이기도 하다. 팔로알토 네트웍스(PANW)는 규모와 제품 폭에서 가장 완성도에 가깝다. 네트워크·클라우드·보안 운영을 플랫폼으로 묶고, 아이덴티티(사이버아크 인수)까지 더해 인간·머신·AI 에이전트 신원을 한 축으로 가져가려 한다. 성장률과 시장 지배력은 강하지만, 이미 프리미엄이 크다. 포티넷(FTNT)은 상대적 밸류와 수익성 측면에서 돋보인다. 하드웨어 기반 성능 우위와 SASE 확장을 동시에 가져가며, 고성장 소프트웨어 대비 부담이 덜한 편이다. 지스케일러(ZS)는 제로트러스트·클라우드 접근 통제의 대표 주자로, AI 워크로드와 분산 접속이 늘수록 논리적으로 맞다. 이 밖에 센티널원(AI 네이티브 엔드포인트), 옥타·세일포인트(에이전트 신원), 클라우드플레어(엣지·트래픽 보안), 루브릭(사이버 복원력)이 보조 후보다.

국내에서는 안랩(053800)이 사실상 핵심 축이다. 2026년 9월 16일 ‘AI 네이티브 보안 플랫폼 기업’ 전환을 공식화하고, 3년간 AI에 1,000억 원을 투입하며 2035년 매출 1조 원·글로벌 비중 30%를 제시했다. 보안 특화 AI 모델 13종, 2.5PB 이상 보안 데이터, SOC 업무 시간 단축 성과를 내세운다. 시가총액은 대략 6,300억~6,500억 원대, PER은 13배 전후로 글로벌 고성장주보다 부담이 적고 배당도 있다. 관건은 선언이 실제 SaaS·글로벌 매출로 이어지는지, M&A가 시너지를 낼지다. 공공·대기업 설치 기반이 있어 국내 AI 보안 예산이 늘면 가장 먼저 수혜를 볼 수 있는 자리다.

소프트캠프(258790)는 결이 다르다. 문서 DRM·문서 중심 보안에서 출발해 제로트러스트와 원격 브라우저 격리(RBI)로 옮기고 있다. 망분리가 완화되며 공공기관이 생성형 AI를 쓰기 시작하자, ‘AI는 열되 위협은 격리한다’는 N2SF 전략과 SHIELDGate를 내세웠다. 외부 AI·SaaS는 격리된 원격 브라우저에서만 돌리고 화면만 전송하는 방식이다. 시가총액은 300억 원 전후의 중소형이라 변동성이 크지만, 문서 보안·협업 증가·망분리 완화라는 국내 특수 수요와 직접 맞닿아 있다. 실적이 흑자 전환·매출 회복 구간에 들어온 점은 긍정적이나, 대형 플랫폼과의 경쟁과 작은 유동성은 리스크다.

그다음 층으로는 이글루코퍼레이션(보안관제·SIEM·AI SOC), 라온시큐어(인증·모바일·아이덴티티), 지니언스(네트워크 접근통제), 파수(문서·데이터 보안), SGA솔루션즈 등이 있다. 이들은 개별적으로는 글로벌 플랫폼을 이기기 어렵지만, 공공 조달, 금융권 규제, PQC 전환, AI 보안관제 국책 과제에서는 존재감이 있다. 다만 시총이 작고 테마 장세에 민감하므로 핵심이 아니라 위성으로 두는 편이 맞다.

AI 시대 사이버보안 주식은 ‘AI가 얼마나 빨리 똑똑해지느냐’의 베팅이라기보다 AI가 얼마나 많은 시스템과 권한을 갖게 되느냐의 베팅에 가깝다. 공격이 자동화되면 방어 예산은 줄지 않고, 에이전트가 늘면 신원·권한·로그·데이터 통제 수요가 늘어난다. 그래서 중장기적으로는 글로벌 플랫폼 대장과 국내 정책·주권 수혜 업체의 바스켓이 가장 설명력이 있다. 다만 2026년 하반기처럼 테마가 한순간에 불을 붙이는 구간에서는 가격이 먼저 달린다. 예측의 핵심은 “오를지”가 아니라, 어떤 기업이 실제로 AI 공격면을 제품 매출로 바꾸느냐를 가리는 일이다. 이 글은 시장 구조와 기업 포지션을 정리한 분석이지 매수 추천은 아니다. 개별 종목은 실적, 수주, 밸류에이션, 유동성을 따로 점검해야 한다.